Vertrag zur Auftragsverarbeitung

1. Parteien und Geltung

Verantwortlicher ist der Kunde, der eine hoverOS-Instanz angelegt hat (im Folgenden „Kunde“). Auftragsverarbeiter ist die diehingucker GmbH, Rheinstraße 31, 12161 Berlin (im Folgenden „wir“). Dieser Vertrag ergänzt die Nutzungsbedingungen und geht ihnen in allen Fragen des Datenschutzes vor. Er kommt mit dem Anlegen der Instanz zustande; bei der Registrierung bestätigt der Kunde die jeweils aktuelle Fassung, die wir mit der Registrierung speichern. Für Instanzen, die vor dieser Fassung angelegt wurden, gilt er ab der Bestätigung durch den Kunden in Textform.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der Instanz: Bereitstellung der Anwendung, Speicherung, Sicherung, Wartung und Support. Wir verarbeiten die Daten, die der Kunde und seine Nutzer in der Instanz erfassen oder über Integrationen in die Instanz holen. Der Vertrag läuft so lange wie der Nutzungsvertrag einschließlich der Testphase und endet mit der Löschung der Instanz nach Punkt 10.

3. Art der Daten und betroffene Personen

• Nutzer der Instanz: Name, E-Mail-Adresse, Rolle, Anmeldedaten (Passwort nur als Hash), Einstellungen, Protokolle über Anmeldungen und Änderungen.
• Kunden, Ansprechpartner und Lieferanten des Kunden: Namen, Kontaktdaten, Rechnungs- und Belegdaten, Projekte, Notizen.
• Personen im Team des Kunden: Namen, Rollen, Stunden- und Kostensätze, erfasste Zeiten, Abwesenheiten, Auslastung.
• Weitere Inhalte: Termine, Aufgaben, Notizen und hochgeladene Dateien, soweit sie Personen betreffen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für hoverOS nicht vorgesehen. Der Kunde entscheidet, welche Daten er erfasst.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Bedienung der Anwendung durch den Kunden und seine Nutzer; weitere Weisungen erteilt der Kunde in Textform. Hält eine Weisung nach unserer Auffassung gegen Datenschutzrecht, weisen wir den Kunden unverzüglich darauf hin. Daten übermitteln wir nur auf Weisung oder soweit uns das Recht der EU oder Deutschlands dazu verpflichtet; in diesem Fall informieren wir den Kunden vorab, sofern das Gesetz es nicht verbietet.

5. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugang hat nur, wer ihn für Betrieb, Sicherung oder Support braucht.

6. Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO. Derzeit sind das:

• Ort: Anwendung, Datenbank und Sicherungen laufen in Rechenzentren der Hetzner Online GmbH in Deutschland.
• Trennung: Jede Instanz hat ein eigenes, von anderen Instanzen getrenntes Datenbankschema und einen eigenen Dateibereich.
• Verschlüsselung: Übertragung nur verschlüsselt (HTTPS). Notizen, Aufgaben und Kontaktdaten liegen verschlüsselt in der Datenbank. Sicherungen werden verschlüsselt; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server.
• Zugang zur Anwendung: Passwörter nur als Hash, Zwei-Faktor-Anmeldung für Nutzer und für unser Admin-Center, Bildschirmsperre mit PIN, Sitzungen enden nach zwei Stunden ohne Aktivität.
• Zugang zum Server: nur per persönlichem Schlüssel; der Zugang für Updates kann weder Konfiguration noch Datenbank lesen. Jede Datenbanksitzung von Hand wird vollständig protokolliert, kritische Befehle verlangen einen zweiten Faktor.
• Support: In die Anwendung einer Instanz gelangen wir nur über eine Support-Freigabe, die ein Admin der Instanz erteilt. Sie gilt 24 Stunden, wird in der Instanz protokolliert und kann jederzeit beendet werden.
• Nachvollziehbarkeit: Die Instanz protokolliert Anmeldungen, Einladungen, Änderungen an Zugängen und jede Änderung durch den Support; Admins der Instanz sehen diese Protokolle.
• Verfügbarkeit: tägliche Sicherung jeder Instanz, zusätzlich auf einem getrennten Speicher desselben Anbieters; stündliche Prüfung von Datenbank, Sicherungen, Außer-Haus-Kopie und Speicherplatz.

Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter:

Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir den Grund nicht ausräumen, darf er den Vertrag zum Wirksamwerden der Änderung kündigen. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau.

Integrationen zu anderen Diensten, etwa zur Buchhaltung oder zum Projektwerkzeug, schaltet der Kunde selbst ein. Diese Anbieter sind keine Unterauftragsverarbeiter von uns; das Verhältnis zu ihnen regelt der Kunde mit ihnen. Die Zahlungsabwicklung über Stripe betrifft nur die Vertragsdaten zwischen uns und dem Kunden, nicht die Daten in der Instanz.

8. Ort der Verarbeitung

Wir verarbeiten die Daten in Deutschland und der EU. Eine Verarbeitung außerhalb der EU findet nur statt, wenn der Kunde zustimmt und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Verlangt eine Behörde außerhalb der EU Zugriff auf die Daten, geben wir nur heraus, wozu uns das Recht der EU oder eines Mitgliedstaats verpflichtet. Wir prüfen jede Anfrage, beschränken uns auf das Nötigste und informieren den Kunden vorher, soweit uns das nicht gesetzlich untersagt ist.

9. Unterstützung des Kunden

Wir unterstützen den Kunden bei Anfragen betroffener Personen, vor allem durch die Funktionen der Anwendung zum Ansehen, Ändern, Exportieren und Löschen. Erreicht uns eine Anfrage direkt, leiten wir sie an den Kunden weiter. Bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde stellen wir die Informationen bereit, die bei uns vorliegen.

Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich nach Kenntnis, mit allen Angaben, die er für seine Meldung nach Art. 33 DSGVO braucht, und ergreifen die nötigen Maßnahmen, um die Folgen zu begrenzen.

10. Ende des Vertrags

Der Kunde kann alle Daten der Instanz jederzeit selbst exportieren, unter Einstellungen, Gefahrenzone, als ZIP-Datei mit einer CSV-Datei je Bereich und den hochgeladenen Dateien. Nach dem Ende des Vertrags bleibt die Instanz 30 Tage lang lesbar, damit der Kunde die Daten exportieren oder die Kündigung zurücknehmen kann. Danach löschen wir alle Daten der Instanz. Sicherungen, die diese Daten noch enthalten, werden spätestens mit Ablauf ihrer Aufbewahrung gelöscht: Sicherungen nach 14 Tagen, Schnappschüsse des Sicherungsspeichers spätestens nach weiteren zehn Tagen. Gesetzliche Aufbewahrungspflichten betreffen nur unsere eigenen Rechnungen an den Kunden, nicht die Daten in der Instanz.

11. Nachweise und Kontrollen

Wir stellen dem Kunden alle Informationen bereit, die er zum Nachweis der Pflichten aus Art. 28 DSGVO braucht. Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer ermöglichen wir nach Anmeldung mit angemessener Frist, in der Regel vier Wochen, und während der üblichen Geschäftszeiten. Vorrangig erfolgen sie durch Auskünfte und Unterlagen, damit andere Kunden nicht beeinträchtigt werden.

12. Schluss

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der Nutzungsbedingungen. Änderungen dieses Vertrags kündigen wir wie Änderungen der Nutzungsbedingungen an. Es gilt deutsches Recht.

Fassung 2026-10 · Stand: Oktober 2026